Vortrag über die Unix-Programme netstat, tethereal und nmap

Transkript

1 Vortrag über die Unix-Programme netstat, tethereal und nmap Oliver Büttler Thorsten Curschmann Internet APM 3 - WS 04/05

2 Inhaltsverzeichnis 1 netstat Einführung Internet Sockets-Darstellung Zustände der Internet Sockets Optionen Beispielausgaben tethereal Capture-Vorgänge im- und exportieren Paketfilter benutzerdefinierte Filter vordefinierte Filter und reguläre Ausdrücke Optionen nmap Rechtliches Scantechniken TCP-Connect Scan TCP-SYN Scan / Half-Open Scan Stealth-FIN Scan XMas-Tree-Scan Null-Scan Ping-Scans UDP-Scan IP-Protocol-Scan ACK-Scan List-Scan Idle-Scan Optionen Quellen 20 1

3 Kapitel 1 netstat 1.1 Einführung Netstat gibt Informationen zu den Netzwerk-Systemen aus, in denen sich der Rechner befindet. Diese Informationen umfassen: Netzwerk-Verbindungen Routing Tables Interface Statistiken weitere Funktionen, auf die hier nicht eingegangen werden Netstat bietet zwei Ansichten der Socketverbindungen an: die UNIX DOMAIN und INTERNET Sockets. Bei einem optionslosen Aufruf von Netstat werden Informationen über die UNIX DOMAIN Sockets bereitgestellt. Dieses wird nur der Vollständigkeit wegen erwähnt. Der hauptsächliche Nutzen von Netstat liegt für uns bei den Internet Sockets. 2

4 1.2 Internet Sockets-Darstellung Die Ausgabe der Internet Sockets zeigt alle Sockets, auf denen ein TCP, UDP oder RAW-Protokoll aufgesetzt ist. Die angezeigten Informationen umfassen: Protocol (TCP, UDP, RAW) Recv-Q (empfangene, noch nicht gelesene, Bytes) Send-Q (gesendete, noch nicht bestätigte, Bytes) Local Address (HOST NAME:SERVICE NAME) Foreign Address (HOST NAME:SERVICE NAME) State (Listen, Established,...) So könnte eine Ausgabe des Befehls netstat -af inet aussehen: Local Addr. Remote Addr. Swind Send-Q Rwind Recv-Q State.sunrpc *.* LISTEN.ftp *.* LISTEN.telnet *.* LISTEN.shell *.* LISTEN.login *.* LISTEN.exec *.* LISTEN.pop3 *.* LISTEN.smtp-stats *.* LISTEN.http-alt *.* LISTEN localhost.1004 localhost ESTAB. swemmel VPN-Pool-64.FH-Worms.de ESTAB. swemmel.pop3 pd9eab8c3.dip.t-dialin.net ESTAB. 3

5 1.3 Zustände der Internet Sockets Nimmt ein Socket Verbindungen entgegen, so befindet er sich im LISTEN- Status. Baut der Socket eine Verbindung auf (Three-Way-Handshake), ist er im SYN SENT- oder im SYN RECV-Status. Ist die Verbindung hergestellt, so ist der Status ESTABLISHED. Wurde die Verbindung beendet, ist der Socket CLOSED. 1.4 Optionen -r route Routing Table -i interfaces Interfaces -s statistics Netzwerkstatistiken -M masquerade maskierte Verbindungen -l listening zeigt Sockets die hören -a all alle Sockets zeigen -n numeric Namen nicht auflösen -hosts -ports -users Hosts / Ports / Users nicht auflösen -p programs Programmname und PID -af... protocol=family Protokollfamilie(n) inet, unix,... -c continuous dauerhafte Anzeige -e extend erweiterte Informationen -v verbose verbose, Zusatzinformationen 4

6 1.5 Beispielausgaben Ip: 47 total packets received 0 forwarded 0 incoming packets discarded 43 incoming packets delivered 38 requests sent out Icmp: 4 ICMP messages received 0 input ICMP message failed. ICMP input histogram: destination unreachable: 4 4 ICMP messages sent 0 ICMP messages failed ICMP output histogram: destination unreachable: 4 Tcp: 3 active connections openings 3 passive connection openings 0 failed connection attempts 0 connection resets received 0 connections established 30 segments received 30 segments send out 0 segments retransmited 0 bad segments received. 0 resets sent... Kernel Interface table Iface MTU Met RX-OK RX-ERR RX-DRP RX-OVR TX-OK TX-ERR TX-DRP TX-OVR Flg eth BMRU lo LRU 5

7 Kapitel 2 tethereal Ethereal ist ein sog. Sniffer, d.h. wie ein Spürhund durchsucht das Programm Pakete, die entweder der Host verschickt oder erhält oder auch aus einem externen Capture-File die Daten einliest. Die Pakete können direkt angezeigt, mitgeloggt und auch in diversen Formaten exportiert werden. Außerdem bietet tethereal die Möglichkeit Pakete eines bestimmten Protokolltyps (TCP, UDP,...) herauszufiltern, bzw. eigene Filterregeln zu definieren, um z.b. den Verkehr auf einem Port oder von/zu einer IP-Adresse zu filtern. Beim Start von tethereal muss das zu überwachende Interface als Option mit angegeben werden. Mehrere Angaben zu überwachende Interfaces sind durchaus gültig, jedoch wird immer das letzte angegebene Interface gecaptured. Alternativ können auch alle Interfaces mit - i any gecaptured werden. Eine Ausgabe von diversen Paketen könnte dann z.b. so aussehen: tetheral -i eth0 Zeit [s] von an gesendet / empfangen NBNS Name query NB ZONELABS.COM < 00 > NBNS Name query NB ZONELABS.COM < 00 > NBNS Name query NB ZONELABS.COM < 00 > linux.local ICMP Echo (ping) request linux.local ICMP Echo (ping) reply linux.local ICMP Echo (ping) request linux.local ICMP Echo (ping) reply 6

8 2.1 Capture-Vorgänge im- und exportieren Eine Möglichkeit der Protokollierung ist die allgemeine Ausgabe-Umleitung der Stdout in eine Datei mit >. Alternativ unterstützt tethereal den Import und Export der gängisten Capture-Formate wie z.b.: libpcap (tcpdump, Ethereal) lanalyzer (Novell LANalyzer) snoop (Sun snoop) netmon1 & netmon2 (MS Network Monitor 1.x / 2.x) Die komplette Liste findet man unter der Option - h. Standardmäßig benutzt tethereal das libpcap-format. tethereal -i eth0 -F libpcap -w swemmel.cap exportiert den aktuellen Capturevorgang in die libpcap-datei swemmel.cap. So können andere Programme wie z.b. TCPDump mit diesen Formaten arbeiten. Um eine Datei wieder einzulesen genügt hingegen: tethereal -r swemmel.cap tethereal erkennt automatisch das Fileformat, sogar aus.gz-dateien kann gelesen werden. Um über längere Zeit Pakete zu protokollieren, wurde ein Ringpuffer in tethereal integriert. Der Hauptaspekt dabei liegt auf dem Langzeitcapturing der Speicherverbrauch konstant bleibt, da die Dateien überschrieben werden. Beispiel: tethereal -i eth0 -a filesize:10 -b 5 -w trace.pcap tethereal erstellt 5 Dateien mit je 10 kb und fügt jedem Namen eine fortlaufende Nummer und einen Timestamp ein. 7

9 2.2 Paketfilter benutzerdefinierte Filter Wie bereits erwähnt, kann tethereal Pakete filtern. Dies geschieht entweder durch vordefinierte oder benutzerdefinierte Filter. Beispiel für benutzerdefinierte Filter: -R ip.src= zeigt nur Pakete an, die von der.10 gesendet werden. -R tcp.port=80 zeigt nur Pakete an, die über Port 80 laufen. -R ip.dst= zeigt nur Pakete an, die an die.10 gesendet werden vordefinierte Filter und reguläre Ausdrücke Beispiel für einen vordefinierten Filter: -R icmp zeigt nur ICMP-Pakete an. Um wirklich effizient Pakete zu filtern, stellt tethereal Reguläre Ausdrücke zur Verfügung. So zeigt -R!(icmp)& ip.src= alle Pakete an, die von der kommen und keine ICMP-Pakete sind. 8

10 2.3 Optionen -a... Abbruchkriterium beim Export in Dateien duration:3600 Capture dauert eine Stunde filesize: kb werden gecaptured -b... Ringpuffermodus -b 0 unendlich viele Dateien -b 10 genau 10 Dateien -c... Anzahl der Pakete, die gecaptured werden -D zeigt alle Interfaces an -F... Dateiformat des Exportfiles -i... Interface, auf dem gecaptured werden soll -N zeigt den aufgelösten Namen (swemmel) -n zeigt die IP-Adresse ( XXX.XXX) -r... liest eine Capturedatei -R... benutzt einen (vor)definierten Filter -s... Paket bei... Bytes abschneiden -s 40 schreibt die ersten 40 Bytes -S Stdout-Ausgabe auch bei -w -V Protokollbaum der Pakete anzeigen -w... schreibt eine Capturedatei -x Hex- und ASCII-Dump -z... erstellt Statistiken aus Capturedatei 9

11 Kapitel 3 nmap nmap wird von Systemadministratoren eingesetzt, um von innen und außen Netzwerke auf ihre Sicherheit hin zu überprüfen. Es dient zum Scannen der Ports und kann unter anderem auch erkennen, welche Hosts im Netzwerk online sind und welche Ports welche Dienste anbieten. Da es sich bei nmap um ein sehr leistungsfähiges Tool handelt, erfordern viele Optionen Root- Rechte. Ohne Root-Rechte stehen dem Benutzer nur eine sehr einschränkte Anzahl an Scantechniken zur Verfügung. 3.1 Rechtliches Die Nutzung von nmap ist legal, jedoch von Administratoren nicht gerne gesehen. Werden jedoch die Informationen, die man von nmap über offene Ports erhält, genutzt um Daten dieser Ports zu lesen, oder gar zu manipulieren, macht man sich strafbar! 10

12 3.2 Scantechniken TCP-Connect Scan Aufruf: nmap -st TCP-SYN Scan / Half-Open Scan Aufruf: nmap -ss

13 3.2.3 Stealth-FIN Scan Aufruf: nmap -sf XMas-Tree-Scan Aufruf: nmap -sx

14 3.2.5 Null-Scan Aufruf: nmap -sn Ping-Scans Ping-Scan 1: ICMP-Request Aufruf: nmap -sp

15 Ping-Scan 2: ACK Aufruf: nmap -sp PT Ping-Scan 3: SYN Aufruf: nmap -sp PS 14

16 3.2.7 UDP-Scan Aufruf: nmap -su IP-Protocol-Scan Aufruf: nmap -so

17 3.2.9 ACK-Scan Aufruf: nmap -sa List-Scan Aufruf: nmap -sl /24 listet alle IP-Adressen und Hostnamen auf Namen werden über DNS aufgelöst Namensauflösung kann mit -n unterdrücken werden 16

18 Idle-Scan Aufruf: nmap -si

19 18

20 Optionen -s... Scantechnik -P... Paket-Optionen (mehrere Arten von Paketen möglich) keine Pings,?TCP-Ping?, SYN statt ACK,ICMP-Timestamp-Request, etc... -p... Portangaben 80 oder oder 80, 25, 36 oder gemischt -S... Source-IP-Adresse, muss nicht die eigene sein (Idle-Scan) -e... Scanner-Interface festlegen -n IP-Adressen nie umsetzen -R IP-Adressen immer umsetzen -O TCP/IP Fingerprinting -on... Text-Logfile -ox... XML-Logfile -og... grep-kompatibles Logfile -oa... Alle drei Logfiletypen erstellen f Headerfragmentierung -exclude... angegebene Hosts nicht scannen 6 IPv6-Unterstützung 19

21 Kapitel 4 Quellen Weitere Informationen zu netstat, tethereal und nmap findet man in den Manpages. Unter gibt es nmap zum Download, sowie die Erläuterungen der Scantechniken. 20